Come ispezionare lo stato di IPsec senza pubblicare le sue chiavi

Un dump dello stato IPsec non è un rapporto di stato, e trattarlo come tale è il modo in cui il materiale delle chiavi finisce in un tracker di problemi pubblico. Alcuni output dell’ispezione del kernel includono le chiavi di traffico usate dal kernel, insieme a indirizzi, selettori e contatori che sono davvero utili. L’abitudine sicura è raccogliere prima il riepilogo e ricorrere allo stato grezzo solo quando il riepilogo non riesce a rispondere alla domanda. Se dovete comunque guardare lo stato grezzo, guardatelo localmente e condividete qualcosa di più stretto.

Verifica 1: questo artefatto può lasciare la macchina

Un file di configurazione, una chiave privata, una cattura di pacchetti senza restrizioni e un dump dello stato grezzo sono tutti segreti finché non si dimostra il contrario. Un comando che stampa chiavi non diventa sicuro perché l’avete eseguito per diagnostica.

La regola è abbastanza semplice da dirla in una frase: condividete l’osservazione che risponde alla domanda, non lo stato della macchina che l’ha prodotta.

Verifica 2: scegliete il comando di riepilogo, non il dump dello stato

Per strongSwan, swanctl --list-sas mostra il riepilogo dell’associazione: identità, SA figlie installate, stati e contatori. Non richiede il dump grezzo delle chiavi ed è la prima cosa da incollare in un ticket. Lato kernel, iproute2 supporta ip xfrm state list nokeys nelle versioni che documentano l’opzione, il che sopprime il materiale delle chiavi mantenendo i campi dell’associazione.

Confermate la sintassi nel manuale locale prima di farci affidamento, perché l’opzione non è presente in ogni versione e un elenco generico dello stato senza di essa è un altro comando con un altro output. Eseguire ip xfrm state su una build vecchia per vedere se il flag esiste è esattamente l’errore di cui si occupa questa lista.

Verifica 3: annotate solo ciò che serve all’indagine

Lo stato dell’associazione, gli algoritmi, i selettori, le marche temporali, la direzione e i contatori pertinenti di solito bastano. Le identità degli account, gli indirizzi pubblici e la topologia interna spesso no, e possono essere oscurati senza perdere valore diagnostico.

Oscurate per impostazione predefinita e riaggiungete su richiesta. Chi legge il vostro ticket può chiedere un campo in più; ma non può far finta di non aver visto una chiave incollata.

C’è una via di mezzo che vale la pena conoscere: anche un riepilogo può essere sensibile. Le identità, gli indirizzi dei peer e i nomi delle SA figlie descrivono la vostra topologia, e in alcune organizzazioni questa è già un’informazione riservata. Decidete chi è il pubblico prima di incollare, e preferite un canale con il giusto controllo degli accessi a un problema pubblico. Un comando sicuro non è la stessa cosa di una destinazione sicura.

Verifica 4: correlate un tentativo su entrambe le estremità

Catturate il client e il gateway per lo stesso tentativo di connessione, nello stesso momento, e assicuratevi che l’associazione che descrivete sia quella prodotta da quel tentativo. Mescolare una SA figlia obsoleta di un tentativo precedente con un’istantanea fresca delle rotte produce un rapporto internamente coerente e del tutto fuorviante.

Identificate l’associazione tramite i suoi identificatori univoci e non tramite il tunnel, e annotate la direzione del guasto. Se il sintomo è l’assenza di traffico in una direzione, dite quale e aggiungete una destinazione di test innocua, così il lettore può ragionare sul percorso invece di indovinare. Un contatore che è zero in una direzione e sale nell’altra localizza il problema molto meglio di qualsiasi dump di chiavi. Tenete le marche temporali in un solo fuso orario e dite quale.

Verifica 5: cosa fare se il materiale è già stato esposto

Eliminare l’allegato non dimostra che nessuno l’abbia conservato, e un incollaggio pubblico viene copiato in fretta.

Trattatelo come un incidente e usate il processo di sostituzione dell’operatore: ruotate le chiavi o le credenziali coinvolte, verificate se l’esposizione implica un compromesso più ampio e seguite il percorso di notifica applicabile. La pulizia tecnica è la parte facile; il presupposto che nessuno l’abbia letto è quella difficile.

La pratica duratura è un piccolo modello che compilate prima di incollare: quale estremità, quale identificatore di associazione, quale direzione, quale contatore e cosa è già stato escluso. Il documentazione di swanctl list-sas descrive i campi del riepilogo, ed è ciò di cui la maggior parte dei ticket ha davvero bisogno. Tutto il resto è disponibile su richiesta a chi ne ha bisogno. Un rapporto diagnostico dovrebbe contenere prove, non accesso.